ukradne notebook a má k dispozícii firemné zmluvy, projekty, finančné záznamy,
patenty, adresy významných klientov či know-how alebo celé technické
dokumentácie v miliónových hodnotách.Juraj ŠÍPOŠ
S objavením sa počítačov rastie úsilie chrániť si svoje dáta, no verejnosť
často nevie, aké možnosti ponúka trh, nehovoriac ani o tom, že u nás sa tomu
trh vlastne ani veími nevenuje.
Na ochranu dát existuje niekoíko populárnych kryptografických algoritmov a
softvérov. Cieíom tohto článku nie je podať vyčerpávajúci obraz o kryptografii
iba sprístupniť i laickému oku informácie zo sveta kvalitného utajovania dát na
úrovni najvyššej kategórie. Typy kryptografie, ktoré sú k dispozícii
užívateíovi PC, možno zhrnúť veími všeobecne nasledovne:
a) pre komunikačné účely
b) na utajenie dát napr. adresárov, databáz (dokumentácie, patenty atď.).
Klasická ochrana sa zabezpečuje na nasledovnej báze: 1. Tajný kíúč kódovanie si
vyžaduje iba jeden tajný kíúč, o ktorom vedia obe strany. Príklady algoritmov:
DES, Blowfish, IDEA, LOKI97, RC4. Nevýhodou je, že ak druhá osoba nie je tesne
nablízku a vy jej pošlete tajný kíúč, niekto ho mÖže zistiť, napr. odpočúvaním
telefónu. Táto kryptografia sa často nazýva ako symetrická.
Je postačujúca pre uzavretý kruh íudí, ktorí sa mÖžu stretávať osobne a mÖžu si
vymieňať medzi sebou tajné kíúče. Symetrická kryptografia je veími rýchla.
2. Verejný kíúč a tajný kíúč ide o kryptosystém (spÖsob šifrovania). Niektoré
kryptosystémy sú napr. El Gamal, RSA, Diffie-Hellman a DSA. Systémy sa
používajú na overenie pÖvodu odosielateía (digitálne podpisy atď.). Systém na
báze verejného a tajného kíúča je veími spoíahlivý, lebo používa jeden tzv.
verejný kíúč (na zašifrovanie) a druhý tzv. tajný kíúč (na dešifrovanie). Na
tomto princípe funguje napr. program PGP (Pretty Good Privacy) od Phil
Zimmermanna. Verejným kíúčom osoby, ktorej chcem správu poslať, zašifrujem
správu, ktorú ona dešifruje svojím tajným kíúčom. Výhodou tohto je, že verejné
kíúče možno sprístupniť verejnosti (na Internete) a vÖbec sa nemusíme báť, že
kíúč niekto odhalí. Príjemca potom túto správu dešifruje svojím tajným kíúčom.
Nevýhodou je, že ktokoívek mÖže vyrobiť svoj vlastný kíúč a tvrdiť, že je váš.
Tým pádom sa budú správy íudí, ktorí vám píšu, šifrovať vaším falošným verejným
kíúčom. Na druhej strane útočník mÖže predstierať, že on je osoba, s ktorou
vediete tajnú korešpondenciu, mÖže napísať v mene tejto osoby s tým, že si
zmenil verejný kíúč a vy budete posielať správy šifrované na falošný verejný
kíúč, ktoré útočník dešifruje. Na zabezpečenie tohto je najlepšie využiť
kontakt priamo s dotyčnou osobou, ktorej píšete, pričom sa mÖže použiť tzv.
digitálne osvedčenie (certifikát). Predpokladajme teda, že si chcete vymeniť
informácie s íuďmi, ktorých ste nikdy nestretli. Ako zistíte, že máte ich pravý
kíúč? Tento problém riešia digitálne certifikáty. Digitálny certifikát
pozostáva z troch vecí: lz verejného kíúča
lcertifikačnej informácie identita ako meno, číslo pasu atď.
lz jedného alebo viac digitálnych podpisov tretej strany, ktorá alebo ktoré
ručia o vašej identite.
Digitálny podpis na vašom verejnom kíúči znamená, že informácia bola atestovaná
niekým iným. OsÖb mÖže byť viac. Digitálny certifikát je vlastne súbor
identifikačných dát (fotografia, meno, dátum narodenia, číslo pasu, číslo
vodičského preukazu, číslo identifikačnej karty, telefónne číslo) viazaný na
váš verejný kíúč a podpísaný dÖveryhodnou osobou. Program PGP rozpoznáva dva
druhy certifikátov certifikáty PGP a certifikáty X.509. Získané kíúče, ktoré
máme v databáze kíúčov v programe PGP, mÖžu mať štatút ako nedÖveryhodné.
Držiteí týchto kíúčov si ešte musí overiť ich platnosť, teda dÖveryhodnosť, a
až potom ich podpíše sám alebo ich podpíše tretia osoba. Certifikáty, ktoré sú
viazané na verejné kíúče, mÖžeme overiť na základe ich "otlačku prsta"
(fingerprint). Keďže otlačok prsta každého človeka je iný, aj "otlačok" každého
certifikátu PGP je iný. Niektorí podnikatelia na Západe nosia takéto otlačky na
svojich navštívenkách. SpÖsob elektronickej certifikácie je alternatívou do
budúcnosti, ako zameniť dÖležité dokumenty v tlačenej klasickej podobe
elektronickou formou.
3. Kombinácia oboch spÖsobov.
Digitálny podpis, (DSA Digital Signature Algorithm) je zárukou pre príjemcu
správy, že ste správu naozaj poslali vy (pozor, v prípade certifikátu ide o
atestáciu kíúča, no v prípade digitálneho podpisu ide o to, ak už máme o
odosielateíovi dÖveryhodné informácie, že správu naozaj poslal on). Kvalita
nedobytnosti šifrovania sa, podobne ako aj v prípade šifrovania bez digitálneho
podpisu, opiera o tzv. bity (napr. 64bitový kíúč je slabší než 128bitový).
Čo je kryptografický algoritmus?
Napr. DES, IDEA, Blowfish. Je to spÖsob, ktorým sa kódujú správy a dáta.
Aký kryptografický algoritmus je najlepší?
DES od roku 1998 už nie je štandardom vlády USA. Blowfish zatiaí odoláva
diferenčnej aj lineárnej kryptoanalýze. Potom by som ešte uviedol Triple-DES.
Nevýhodou Triple-DES je, že je pomalý. Čo je kryptoanalýza?
Veda o tom, ako dešifrovať zašifrovanú správu. Kryptoanalýza je potrebná na
zistenie slabín kryptografického algoritmu, z tohto dÖvodu je najlepší ten
kryptografický algoritmus, ktorý nie je utajený, ale naopak, ktorý je
verejnosti známy, lebo tak je vystavený rÖznym nečakaným útokom a tým sa jeho
slabiny postupne odhaíujú. Kíúče možno podrobiť kryptoanalytickým útokom na
úrovni superpočítačových zdrojov (clusters). Vláda USA zatiaí dÖveruje kíúču
Diffie-Hellman, čo dokazuje aj skutočnosť, že ho používa. Ochrana dát nemÖže
zabrániť úniku akustickej informácie, ktorá mÖže uniknúť z miestnosti napr.
tým, že niekto odráža laserový lúč od vášho okna a dešifruje chvenie vibrácií
okna, keď hovoríte. Pri infračervenom laserovom lúči lúč nikto nebude vidieť.
Tento druh útoku je lacnejší než kryptoanalýza. Ďalší spÖsob útoku predstavujú
špeciálne prístroje na diaíkové zachytávanie elektromagnetických vín počítača.
Proti tomuto útoku sa možno brániť tzv. "zaštítovaním" počítačového zariadenia
a káblov. Toto riešenie používajú veívyslanectvá.
Ako "uzamknúť" počítač?
Existuje niekoíko spÖsobov: Bežný spÖsob
Ak si napríklad ochránite počítač heslom v BIOSe, nezabúdajte, že niekto mÖže
ukradnúť disk, alebo resetovať CMOS a dostať sa k vašim dátam. Tento spÖsob je
samozrejme nedostatočný.
Kvalitný spÖsob
1. Zašifrovanie celého disku, t.j. nikto sa vám nedostane k dátam. Vstup do
systému je hneď pri štartovaní počítača. Programy na tejto báze umožňujú
vytvorenie špeciálnej systémovej diskety, pomocou ktorej po zadaní hesla máte
na disk povolené vstúpiť. 2. Inštalujete softvér, ktorým si zašifrujete iba
dÖležité adresáre, t.j. vstup do systému mÖže mať ktokoívek, ale keď niekto
bude chcieť otvoriť tieto utajené adresáre, musí zadať heslo. Súbory sa po
zadaní hesla dešifrujú v reálnom čase (ak sú veíké, mÖže to niečo trvať). Tento
spÖsob však nezabráni, aby si niekto nesadol k vášmu PC a hocičo nevymazal.
3. Vytvorenie virtuálneho disku, t.j. vytvoríte veíký súbor (kontajner) na
fyzickom disku, napr. 100 MB, ktorý sa dá sprístupniť iba pomocou hesla (hard
disk, ZIP Drive, obyčajná disketa). V prípade ZIP Disku, ak ho budete mať stále
pri sebe, sa vÖbec nemusíte báť, že vám ho niekto vymaže.
4. Ochrana počítača pomocou pripojenia špeciálneho hardware.
Akú bezpečnosť budem potrebovať?
Závisí to od osobných potrieb. Pre hrubú ilustráciu to možno uviesť nasledovne:
Kryptografia pre osobné účely 56/64 bitov lPre komerčné využitie 128 bitov
Pre vojenské účely 160 bitov
Ako zistím, aký ma osoba "X" verejný kíúč?
Ak máme na osobu X kontakt, zatelefonujeme alebo napíšeme jej, aby poslala svoj
verejný kíúč e-mailom. Na Internete je databáza verejných kíúčov, kde mÖžete
poslať aj ten svoj. Jedna internetová adresa je napr.: http://
keys.pgp.com:11371
MÖže niekto získať dáta, ktoré som vymazal?
Existuje zariadenie SQUID (Super-Conducting Quantum Interference Detector),
ktoré vráti späť dáta aj v prípade, že disk bol šesťkrát low-level formátovaný.
Na bezpečné vymazanie dát sa doporučuje niekoíkonásobné prepísanie disku
náhodnými dátami. Napríklad v Linuxe prepíšete disk náhodnými dátami (čo je
bezpečnejšie než formátovanie) príkazom: dd if=/dev/urandom of=/dev/hda
a doporučil by som to urobiť najmenej šesťkrát. Ak bol disk prepísaný na jednom
mieste hodnotou 1 dvakrát a potom hodnotou 1 sedemkrát, nie je možné toto
rozlíšiť. Vláda USA považuje náhodné prepísanie disku za najbezpečnejšie a
doporučuje to urobiť sedemkrát. O tejto problematike píše aj januárové číslo
2001 www.linuxgazette.com v časti The Answer Gang.
Ak si chcem inštalovať softvér, ktorý z dostupných programov je najlepší?
Vláda USA uvalila zákaz na vývoz šifrovacích softvérov, ktoré spadajú do istej
kategórie. Nedobytnosť PGP spadá pod dosť vysokú kategóriu. Nuž, mnohé sú
dobré, ale pre komunikáciu je najpopulárnejší práve PGP. A čo sa týka ochrany
dát na disku, nižšie uvádzam programy aj s http adresou.
Čo robiť, keď zabudnem heslo?
Vyhodiť počítač von oknom. Alebo šifrovať či nešifrovať, to je otázka! Heslo sa
nezabúda! Radšej si vytvorím krátky kíúč, alebo použijem niečo jednoduché.
Možno sa obrátiť aj na výrobcu softvéru. Bude to ale niečo stáť! V prípade
dlhého kíúča to však výrobca určite odmietne urobiť.
Ak si vytvorím taký tajný disk, mÖže sa mi niekto dostať k dátam?
Áno, ale predpokladáte, že by si niekto dal takú námahu, aby používal
niekoíkomiliardový počítač na dešifrovanie správ tak bezvýznamného človeka ako
vy? Len príklad: algoritmus pakovacieho programu PKZIP používa aj možnosť
zašifrovania. Šifrovanie rozbije napr. program zipcrack, ktorého autor však
píše, že ak je dížka kíúča 20 znakov (v kombinácii so znakmi ako /, : ",?
atď.), tak dešifrovanie na 200 Mhz mašine bude trvať niekoíko desiatok rokov.
Forma takéhoto dešifrovania sa volá Brute-Force Cracking. Dešifrovanie dát si
vyžaduje skutočne veími drahú techniku a veíké vedomosti. Pri riešení ťažkých
problémov sa často spoja počítače, aby sa dešifroval kód, čo by ináč trvalo
stovky rokov. Ide však o to, či sa vÖbec oplatí investovať milión dolárov na
odhalenie zašifrovanej správy, ktorá obsahuje hodnotu sto tisíc dolárov.
Potrebujem čo možno najlepšiu kryptografiu?
Určite nie najdÖležitejší je najmä íudský faktor. Ak sú dáta zašifrované v
rukách človeka, ktorý si bezpečne nezapamätá prístupové heslá, potom mu niet
pomoci, aj keby používal najvyššie hodnoty bitov pri šifrovaní dát. Kvalita a
jej docielenie si ako všade na svete vyžaduje aj zodpovednosť a zmysel pre
systémovosť v práci. Dnes sa používa už aj tzv. "odpočúvacie" zariadenie pre
klávesnicu, takže v takomto prípade nepomÖže nijaká kryptografia, pokiaí si
niekto nezabezpečí fyzický prístup k počítaču. Poďme teda k veci. Aké
šifrovacie možnosti sú k dispozícii?
Hardware
Firiem zaoberajúcich sa hardvérovou kryptografiou je viac, ale tu uvádzam iba
niektoré.
DESkey Hardware (http://www.des.co.uk/)
Hardwarové zabezpečenie počítača. Firma je z Veíkej Británie. Používajú sa
špeciálne karty, ktoré sa zasunú do paralelného portu, pričom sa inštaluje
softvér, ktorý blokuje prístup k údajom.
SAFtyLatch (http://www.saflink.com/p_saftylatch.html)
Bio-identifikácia hlas, tvár a otlačky prstov. Verzie, ktoré sa predávajú v
USA, umožňujú až 448bitové kíúče, žiaí, kvÖli zákazu exportu je pre ostatný
svet dostupná iba verzia s 56bitovým kíúčom. K softvéru je dodané potrebné
zariadenie na podporu bio-identifikácie.
Eracom (http://www.eracom.com.au/)
Firma sa zaoberá kryptografickým softvérom a hardvérovými riešeniami. Eracom
vyrába šifrovacie hardvérové adaptéry aj s podporou pre Linux. Adaptér CSA-7000
zabezpečuje šifrovacie služby pomocou PCI a umožňuje až dížku 2 048bitových
kíúčov. Software Linux Tu uvediem celkom novú distribúciu Linuxu, ktorá sa
nedávno objavila selinux. Známa americká bezpečnostná (špionážna) agentúra NSA
uvoínila vlastnú verziu bezpečného Linuxu pod názvom Secure Linux alebo
selinux. K dispozícii je aj zdrojový kód. NSA normálne neuvoíňuje svoj softvér,
pretože ich celá kultúra spočíva v utajovaní. Selinux sa objavil na adrese
www.nsa.gov/selinux iba nedávno a už sa proti nej postavili niektorí vládni
byrokrati. Nasledovné šifrovacie programy nájdete na http://freshmeat.net:
AES je kryptografia pre Shell Scripting.
Chameleon je experimentálny nástroj pre kryptografiu súborov.
Crypt++.el je kód pre komprimované a šifrované súbory v editore emacs.
ECLiPt Secure Tunnel je TCP bezpečnostný tunelling system.
Encrypt predstavuje kryptografiu pre textové súbory (plain text).
International Kernel Patch je kryptografický nástroj pre linuxovské jadro. Java
RSA je JAVA kryptografická knižnica pre algoritmus RSA.
Jerry Crypt je kryptografická knižnica.
Kerberos slúži na verifikovanie užívateíov v sieti. KPGPCrypt je shell pre PGP
a GPG. Kwoodhammer predstavuje tradičnú kryptografiu pre Linux.
Loopy je utilita, ktorá pripojí šifrovaný súbor loop (Linux v súbore, ktorý
možno spustiť z prostredia DOS).
Mcrypt je náhrada pre unixovský crypt.
Nanocrypt predstavuje šifrovanie súborov s algoritmom RC4.
OpenCA verifikuje užívateíov.
PGP je klasický Pretty Good Privacy pre chránenie súborov a elektronickej
pošty. PGP slúži hlavne ako nástroj pre bezpečnú komunikáciu.
Pgp4pine je interaktívny program pre používanie PGP s mailovým programom pine.
Pgpforwarder zakóduje prichádzajúcu poštu a pošle ju ďalej.
PPDD je kryptografický súborový systém pre Linux.
Refugee je kryptografická utilita pre šifrovanie súborov.
Rubber Hose je ďalší kryptografický súborový systém.
SafeGossip je podpora SSL (Sacure Socket Layer) pre FTP, IMAP, POP, SMTP a
telnet.
Scrubber je nástroj na bezpečné zničenie dát.
Secret-share zabezpečí kryptografické rozdelenie súborov na viac dielov.
Secure Tar je kryptografia pre súbory na báze známeho archivačného programu tar.
Sigs je balík pre digitálny podpis.
Slurpie je rozbíjač hesiel.
Ssh je Secure Shell a slúži na verifikovanie užívateíov v sieti.
TCFS je transparentný kryptografický súborový systém.
Topsecret je kryptografia pre súbory.
Topsecret Net predstavuje možnosť zašifrovať súbory cez sieť.
Vpnd je virtuálny Private Network Daeomon (VPND) pre šifrovanie packetov TCP/IP.
YyyRSA je RSA šifrovací/dešifrovací program.
Pre platformu Windows 95/98/NT a Linux súčasne:
BestCrypt NT od firmy Jetico (http://www.jetico.sci.fi/np_new.htm)
Vytvára logické disky aj na všetkých druhoch médií. 30dňová skušobná verzia z
Fínska. Podporuje vytvorenie až 4 GB logických diskov, okrem DES, Blowfish,
Twofish zah+ňa aj algoritmus bývalého Sovietskeho zväzu GOST. Po 30dňovej
skúške program naďalej funguje s tým rozdielom (MS Windows), že sa do
virtuálnych utajených diskov nemÖžu zapisovať dáta, mÖžu sa však čítať. Ide o
vynikajúci softvér, ktorého klon je k dispozícii aj pre Linux. Po vytvorení
virtuálneho uzamknutého disku treba tento disk naformátovať. Podpora je aj pre
FAT32. Program umožňuje vytvoriť filter pre klávesnicu, ktorý potom zablokuje
monitorovanie programov ako napr. Microsoft Spy++, ktoré sledujú správanie
klávesnice a výstup z nej zapisujú do súboru. Pripojiť možno aj diskety, ak sa
na nich vytvoril kontajner pre vaše dáta (logický disk o íubovolnej dížke, v
prípade diskiet napr. súbor o dížke 1,44 MB).
Nautilus (http://www.lila.com/nautilus/)
Bezpečný telefón po sieti (Internet). Nautilus bol prvýkrát uvedený na trh v
Máji 1995 a používal sa na obyčajných telefónnych linkách s modemami na oboch
stranách (aj viac strán mohlo vzájomne komunikovať). Touto formou možno
zabezpečiť klasické telefonovanie. Samozrejme, že aj iná technika je možná,
táto však nie je príliš nákladná, nakoíko dnes má modem a počítač dosť íudí. Vo
verzii 1.5a sa do programu pridala schopnosť komunikovať cez sieť TCP/IP v
rámci Internetu (zatiaí iba pre Unix). Až v septembri 1998 vyšla verzia pre
platformu MS Windows 9.x a NT. Exportné zákony USA považujú kryptografiu za
muníciu. V prípade Linuxu Nautilus je k dispozícii z http://freshmeat.net vo
verzii 1.7c.
Scramdisk (http://www.scramdisk.clara.net/)
Šifrovanie vytvorením logického utajeného disku voWindows 9x. Freeware. Tento
program možno šíriť bez obmedzení. Tvorcovia sú z Veíkej Británie a nedávno
ohlásili vývoj svojho softvéru pre Linux.
1 0284 / wep
PŘEDPLATNÉ
ČLÁNKY DO MAILU